Anthropic voegt continu scannen en het bijhouden van opgeloste problemen toe aan Claude Security

Anthropic heeft op 21 oktober 2026 een bijgewerkte versie van Claude Security uitgebracht als openbare bèta voor klanten van Claude Enterprise. De update voegt continu scannen toe, waarbij wijzigingen in code worden gevolgd, evenals het automatisch bijhouden van opgeloste problemen, dreigingsmodellen per project en een nieuwe API. In aanmerking komende organisaties ontvangen gedurende twee maanden elke maand $25.000 aan gratis gebruikstegoed via een lanceringsaanbod dat loopt tot en met 31 december 2026.

Anthropic zegt dat sinds Claude Security in april 2026 als openbare bèta beschikbaar kwam, duizenden organisaties de tool hebben gebruikt om meer dan een miljoen kwetsbaarheden te vinden. Volgens het bedrijf wordt het bijgewerkte product aangedreven door de volledige modellenfamilie, waaronder Claude Mythos, zonder dat toegang tot het Cyber Verification Program vereist is.

Continu scannen en repositories instellen

Gebruikers maken een project aan, koppelen repositories via de Claude-app voor GitHub (inclusief GitHub Enterprise Server) of met een toegangstoken van GitLab en andere Git-providers, en kiezen voor elke repository de branch en het bereik. Claude voert vervolgens een grondige nulmetingsscan uit, die afhankelijk van de grootte van de repository enkele minuten tot enkele uren kan duren. Daarna scant Claude regelmatig wijzigingen, op basis van het risico en de complexiteit ervan, zodat de lijst met bevindingen de actuele staat van de code zo goed mogelijk weergeeft.

Volgens de documentatie van het Claude Help Center kan een project maximaal acht repositories bevatten. Een repository kan binnen het bereik vallen, wat betekent dat Claude deze scant en bevindingen rapporteert, of alleen als context dienen. In dat geval leest Claude de repository tijdens scans, maar rapporteert het daarover geen bevindingen. Beide tellen mee voor de limiet. Met projecten met meerdere repositories kan Claude problemen opsporen die zich tussen services voordoen, zoals een backend die vertrouwt op invoer die een client had moeten valideren.

Na de nulmetingsscan is er geen vast scanschema. Volgens het Help Center zijn scans bewust stochastisch: in tegenstelling tot traditionele statische analysetools, die vaste patroonherkenning toepassen, gebruikt Claude Security een agent die de analyse bij elke uitvoering aanpast. Daardoor kunnen twee scans van dezelfde code verschillende resultaten opleveren.

Opgeloste problemen bijhouden, kennisbanken en dreigingsmodellen

Claude Security controleert openstaande bevindingen aan de hand van gewijzigde code en markeert ze als opgelost zodra de oplossing is doorgevoerd, ongeacht of het team het probleem heeft verholpen met Claude Code of via een afzonderlijk proces. Een bevinding die als opgelost is gemarkeerd, wordt automatisch opnieuw geopend als Claude het probleem later weer aantreft. Afgewezen bevindingen verschijnen niet opnieuw in toekomstige scans. Teams kunnen een bevinding afwijzen als vals-positief, als geaccepteerd risico, als duplicaat of om een andere reden, en daarbij eventueel een triagenotitie toevoegen.

Elk project heeft een kennisbank waarin teams beschrijven hoe hun code wordt geïmplementeerd, wie er toegang toe heeft en welke beveiligingsbeleidsregels van toepassing zijn. Claude Security genereert ook op basis van de code een dreigingsmodel dat teams kunnen bekijken en aanpassen. Bij volgende scans gebruikt Claude dat model om te bepalen wat er wordt gemeld en hoe de ernst wordt ingeschat. Het Help Center merkt op dat Claude het dreigingsmodel uit de code afleidt en daardoor de implementatiecontext kan missen. Teams kunnen dit corrigeren in de chat van het project.

Bij elke bevinding hoort een ernstclassificatie, beoordeeld aan de hand van het dreigingsmodel van het project, en een uitleg van hoe een aanvaller de kwetsbare code zou kunnen bereiken. Bevindingen kunnen ook een diagram van het aanvalspad bevatten. Het Help Center definieert de ernstcategorie Kritiek als een kwetsbaarheid die via het netwerk kan worden misbruikt door iedereen zonder in te loggen, waarbij de aanvaller zowel gegevens kan lezen als wijzigen; Hoog als een kwetsbaarheid met ernstige gevolgen waarbij de aanvaller moet inloggen of een slachtoffer tot actie moet bewegen, of waarbij de schade beperkt is; Gemiddeld als een kwetsbaarheid met beperkte gevolgen en één realistische voorwaarde; en Laag als een kwetsbaarheid met beperkte gevolgen waarvoor speciale omstandigheden nodig zijn waarover de aanvaller geen controle heeft. Categorieën van bevindingen zijn onder meer injectie, path traversal en SSRF, fouten in authenticatie en toegangscontrole, geheugenveiligheid, cryptografie, deserialisatie en problemen met protocollen en codering, met waar van toepassing CWE-ID’s. Elke bevinding doorloopt een verificatieproces in meerdere fasen, waarbij Claude de eigen bevindingen kritisch beoordeelt voordat ze worden getoond. Volgens Anthropic levert dit proces minder vals-positieven op.

API, MCP-connector en toegangsbeheer

Met de nieuwe API kunnen gebruikers projecten en bevindingen opvragen en bekijken, bevindingen oplossen of opnieuw openen, en projecten en de bijbehorende repositories aanmaken en beheren. Persoonlijke toegangstokens die in de instellingen van Claude Security worden aangemaakt, handelen namens de gebruiker en bieden alleen toegang tot wat die gebruiker zelf kan zien en wijzigen. Webhooks kunnen gebeurtenissen over nieuwe bevindingen doorsturen naar systemen zoals Slack of Jira. Claude Security is ook beschikbaar als MCP-connector in Claude.ai en Claude Code. Zo kan een technicus een bevinding openen, Claude ernaar vragen, met de oplossing aan de slag gaan en de bevinding in dezelfde sessie als opgelost markeren.

Met nieuwe rolgebaseerde toegangscontroles kunnen beheerders bepalen wie projecten mag aanmaken en wie ze mag bekijken, triageren of beheren. Projecten kunnen worden gedeeld met rollen met volledige toegang, triagetoegang of alleen-lezen-toegang, of met de hele organisatie.

De aankondiging van Anthropic bevat verklaringen van klanten over de eerdere bèta en de update. Jake Meredith van het productbeveiligingsteam van Gusto zei dat Claude Security de code van het bedrijf eenmaal heeft gescand om een uitgangsmeting vast te stellen en de code nu blijft volgen terwijl die verandert. Nathan Hunstad, beveiligingsdirecteur bij Vanta, zei in de aankondiging van Anthropic: “Claude Security heeft een aantal logische fouten gevonden die onze andere tools niet hadden ontdekt. Nadat we ons eigen risicobeleid in het dreigingsmodel hadden opgenomen, met de nadruk op wat externe gebruikers daadwerkelijk kunnen bereiken, kwamen de bevindingen overeen met onze prioriteiten in plaats van alleen met een ernstscore”

Vereisten, prijzen en lanceringsaanbod

Voor het gebruik van Claude Security is een actief Claude Enterprise-abonnement nodig, evenals een premiumlicentie voor elke gebruiker en ingeschakelde gebruikstegoeden. Een eigenaar schakelt de functie in via de organisatie-instellingen en beheerders bepalen wie er toegang toe heeft. Het product wordt uitsluitend belast tegen de directe tokenkosten, zonder aanvullende platformkosten. Organisaties kunnen een afzonderlijke bestedingslimiet instellen en de kosten per project bekijken voor de lopende maand en per dag.

Volgens de voorwaarden van het lanceringsaanbod ontvangen in aanmerking komende Claude Enterprise-organisaties, waaronder organisaties die via AWS Marketplace zijn aangeschaft, gedurende elk van twee opeenvolgende maanden maximaal $25,000 aan promotietegoed, zonder dat aanmelden nodig is. Voor bestaande Enterprise-organisaties gaat het aanbod in op 21 oktober 2026 en loopt het af aan het einde van de dag op 31 december 2026. Ongebruikt tegoed wordt niet overgedragen, tegoed wordt eerst gebruikt voordat vastgelegde uitgaven in rekening worden gebracht en organisaties die zich na 1 november 2026 aanmelden, krijgen geen twee volledige maanden. Het aanbod geldt alleen voor projecten die met de nieuwe ervaring zijn aangemaakt.

Bestaande projecten blijven actief. Eigenaren kunnen ze migreren via de optie ‘Project migreren’, die de bevindingen naar een nieuw project kopieert en het oorspronkelijke project archiveert. Leden, webhooks, uitgesloten mappen, scangeschiedenis en geplande scans worden niet gekopieerd. GitHub Enterprise-projecten kunnen niet worden gemigreerd.

Claude Security ondersteunt Zero Data Retention niet en Anthropic kan gegevens bewaren wanneer dat wettelijk verplicht is of om schendingen van het gebruiksbeleid aan te pakken. Het bedrijf verwijst gebruikers die ZDR nodig hebben of modellen van derden willen gebruiken naar de afzonderlijke Claude Security-plug-in voor Claude Code. Deze is in bèta voor alle Claude Code-gebruikers en gebruikt de modellen die beschikbaar zijn in het Claude Code-account van de gebruiker. Op de productpagina staat dat scans op basis van Claude Mythos-modellen alleen beschikbaar zijn in de Claude Security-app op Claude.ai. Op die pagina staat ook dat elke voorgestelde patch door een mens moet worden beoordeeld en goedgekeurd. Anthropic adviseert gebruikers voorgestelde patches vóór toepassing te controleren, omdat Claude fouten kan maken.